Das TCF im Überblick – Alle Updates des Transparency & Consent Framework

Im April 2020 haben wir bereits mit dem TCF 2.0 über ein wichtiges Update in der digitalen Werbebranche berichtet. Nun steht, seitens des International Advertising Bureau Europe (IAB), mit dem Transparency and Consent Framework 2.1 (TCF 2.1) eine erneute Weiterentwicklung an, die ein paar wissenswerte Änderungen für Publisher:innen, Advertiser:innen sowie AdTec-Anbieter:innen mit sich bringt.

Das Transparency and Consent Framework (kurz TCF) ist ein vom International Advertising Bureau Europe (IAB) eingeführtes Framework, welches einen technischen Standard für die Abfrage und Übermittlung von Nutzereinwilligungen im digitalen Marketing schafft. Auf diesem Wege wird es sowohl Publisher, Advertiser, als auch AdTech-Anbieter:innen ermöglicht auch weiterhin personalisierte Werbung auszuliefern und dabei trotzdem DSGVO konform zu agieren.

Eingeführt wurde es erstmalig im März 2018 in einer Version 1.1. Diese wurde im Juli 2020 ganzheitlich durch das umfangreiche Update auf die Version TCF 2.0 ersetzt. Dabei wurden insbesondere die folgenden Funktionen hinzugefügt:

• Die CMP verfügt jetzt über deutlich mehr verschiedene Verwendungszwecke (Purposes). Um die 1st-Layer Message jedoch möglichst übersichtlich zu halten und keine unnötige Verwirrung bei den Nutzer:innen zu verursachen, hat der IAB sog. Stacks definiert, welche die verschiedenen Purposes in einzelnen Gruppen zusammenfasst.
• Es wurden Special Purposes definiert. Hierbei handelt es sich um Verwendungszwecke, welchen die Nutzer:innen aus z. B. sicherheitstechnischen Gründen nicht widersprechen können.
• Zusätzlich wurden zwei Special Features eingeführt. Möchten die Publisher oder die Advertiser beispielsweise den genauen Standort der Nutzer:innen verwenden, so muss zunächst ein zusätzlicher Consent eingeholt werden.
• Für mobile Apps wurden konkrete Informationen zur standardisierten Speicherung von Cookie Consent festgelegt.
• Es wurde ein besonderer Fokus auf das “legitimierte Interesse” gelegt. Vendoren haben hierdurch die Möglichkeit, ihre Purposes nach berechtigtem Interesse standardmäßig zu aktivieren, sofern dieses der Rechtsordnung nicht widerspricht. Die Nutzer:innen haben nun jedoch die Möglichkeit dieses zu widerrufen.

Das TCF 2.0 bietet somit sowohl für die Publisher, als auch für die Nutzer:innen einige Vorteile. Die Publisher verfügen durch das Update über eine bessere Flexibilität und Kontrolle bei der Zusammenarbeit mit ihren Technologie Anbietern. Die Nutzer:innen profitieren vor allem durch detaillierte Informationen und mehr individuellere Einstellungsmöglichkeiten.

Vorangetrieben wurde das Thema TCF 2.0 vor allem durch das Planet49 Urteil. Bei Planet49 handelt es sich um ein deutsches Glücksspiel Unternehmen, welches 2013 eine Online Lotterie veranstaltete. Das dazugehörige Anmeldeformular beinhaltete ein Kästchen zur Verwendung von Cookies. Die Anmeldung am Losverfahren konnte zwar von den Nutzer:innen auch ohne diese Auswahl stattfinden, jedoch musste dafür das Häkchen manuell entfernt werden.

Zusätzlich führte der EuGH verschiedene Anforderungen ein, um den Nutzer:innen genauer über die Details der auf ihren Geräten gespeicherten Cookies zu informieren. Diese beinhalten beispielsweise eine Auflistung der Drittanbieter, welche Zugriff auf die Daten haben sowie die Lebensdauer der verwendeten Cookies.

Durch die Einführung der TCF Version 2.0 im Sommer 2020 sorgte der IAB bereits für klare Strukturen, um die erforderlichen Rechtsprechungen aus dem Planet49 Urteil bestmöglich erfüllen zu können.

Mit dem TCF 2.1 Update wurden ergänzend hierzu verschiedene Erweiterungen eingeführt, welche seit dem 31. Januar 2021 zu beachten sind. Die Änderungen beziehen sich hierbei weniger auf die Publisher selbst, sondern vielmehr verstärkt auf die Ausweispflicht der Vendoren und CMPs selbst.

Das Update enthält aktualisierte technische Spezifikationen zur Offenlegung der Speicherung von Daten auf dem Endgerät der Nutzer:innen sowie zu den entsprechenden Zugriffen auf diese durch die Partner:

So sind die Vendoren, bzw Anbieter angewiesen:

• die maximale Speicherdauer ihrer Cookies auf den Endgeräten der Nutzer:innen anzugeben
• zudem müssen die Vendoren angeben, ob sie weitere Speicher- und Zugriffsmittel verwenden, bei denen es sich um keine direkten Cookies handelt

In diesem Zusammenhang liegt es bei den CMPs:

• die Informationen der Vendoren über die maximale Speicherdauer
• sowie über die weiteren Nicht-Cookie Methoden der Vendoren in der CMP auszuweisen
• Zudem muss die CMP weitere detaillierte Informationen zur Datenspeicherung und zum Zugriff der Vendoren offenlegen, sofern diese vom Anbieter bereitgestellt werden

Das Update auf die Version 2.2 des Transparency and Consent Framework umfasst die folgenden Punkte:

• Abschaffung der Rechtsgrundlage des berechtigten Interesses für die Personalisierung von Werbung und Inhalten: Mit der Abschaffung müssen Webseitenbetreiber sicherstellen, dass sie die Einwilligung der Nutzer:innen einholen, um bestimmte Zwecke (laut IAB die Zwecke 3, 4, 5 und 6) der Datenverarbeitung zu erfüllen. Dies erfordert möglicherweise Anpassungen an den Zustimmungsmechanismen und -verfahren auf der Webseite/Cookiebanner.
• Verbesserung bei den Informationen für die Endnutzer: Webseitenbetreiber müssen sicherstellen, dass die Informationen über die Zwecke und Funktionen der Datenverarbeitung den neuen Anforderungen entsprechen. Dabei sollten sie die Namen und Beschreibungen der Zwecke anpassen, und es sollten benutzerfreundliche Beschreibungen verwendet werden – die für die Nutzer verständlich sind – kein Rechtstext. Zudem können Beispiele für reale Anwendungsfälle ergänzt werden, um den Nutzern die Bedeutung der Datenverarbeitung zu verdeutlichen.

• Standardisierung der zusätzlichen Informationen über die Anbieter: Die Anbieter müssen dem Websitebetreibenden zusätzliche Informationen über ihre Datenverarbeitungsvorgänge zur Verfügung stellen, damit diese Informationen wiederum den Endnutzer:innen mitgeteilt werden können. Dazu gehören:

  • Kategorien der erhobenen Daten
  • Aufbewahrungsfristen auf der Grundlage des jeweiligen Zwecks
  • Berechtigte Interessen – falls zutreffend.
• Transparenz über die Anzahl der Anbieter: Die CMPs werden verpflichtet die Gesamtzahl der Anbieter auf der ersten Ebene der Consent-Banner offenzulegen. Somit agiert der Webseitenbetreibende transparent und gibt seinen Besucher:innen direkt zu Beginn eine klare Anzahl der Anbieter, die für die Ausspielung von Werbung verantwortlich sind.
• Besondere Anforderungen zur Erleichterung des Widerrufs: Getätigte Zustimmungen müssen jederzeit widerrufen werden können. Hierfür müssen Webseitenbetreiber:innen und Anbieter von Consent-Banner sicherstellen, dass die Nutzer:innen die Benutzeroberflächen erneut aufrufen und ihre Zustimmung problemlos anpassen oder gar gänzlich widerrufen können. Dies kann zum Beispiel über einen Link im Footer der jeweiligen Webseite erfolgen.

Anders als bei der Umstellung von der TCF v1 auf TCF v2.0 müssen Publisher beim Update auf die Version 2.1 nur sehr wenige bis keine Änderungen eigenständig vornehmen. Abhängig vom Anbieter der CMP beläuft sich der Aufwand für die Publisher für Web und AMP Webseiten auf das erneute Abspeichern der Vendoren, über die Aktualisierung der First-Layer Message und der Second-Layer Message, bis hin zum Aktualisieren des Integrations-Skriptes. Es ist also kein zeitintensives Konfigurieren und Zusammensuchen der Informationen notwendig, da die notwendigen Informationen vom CMP Anbieter sowie den Vendoren selbst übermittelt werden müssen.

Damit die Version 2.1 des TCF auch für Apps verwendet werden kann, benötigt der Großteil der Anbieter ein Update der Android und iOS SDKs.

Alles in allem schien eine neue Version des TCF mit weiteren Spezifikationen nur wenige Monate nach Einführung des TCF 2.0 für viele Publisher zunächst nicht nachvollziehbar und abschreckend. Betrachtet man jedoch die Beweggründe zu den aufgezeigten Änderungen, erkennt man schnell, dass die Version 2.1 des Transparency and Consent Frameworks des IABs durchaus seine Existenzberechtigung hat.

Durch die neuen Regelungen wird den Nutzer:innen eine noch höhere Transparenz zu den verwendeten Speicher- und Zugriffsmethoden von Drittanbietern ermöglicht. Ein Nachteil entsteht für die Publisher hierdurch zunächst nicht. Ebenso hält sich der Integrationsaufwand von Anbieter zu Anbieter der CMP stark in Grenzen, da ein Upgrade auf die Version 2.1 i.d.R. mit nur wenigen Klicks möglich ist.

Einzig für Publisher, die sich entschieden haben eine eigene CMP zu entwickeln, bedeutet dies einen entsprechenden Mehraufwand, um auch weiterhin den Richtlinien des IAB als zertifizierte Consent Management Plattform zu erfüllen.

Zusammenfassend lässt sich sagen, dass es sich bei TCF 2.1 zwar nur um ein kleines aber durchaus wichtiges Update handelt, welches den Datenfluss innerhalb des Word Wide Webs für alle Beteiligten noch klarer dokumentiert.